Именно так. В общем и целом, чтобы избежать штрафов, собирать можно только необходимый минимум для строго определенных целей. Плюс согласие юзеров нужно. 

1) регистрация на портале - фактически заключение дистанционного договора между регистрирующимся лицом и владельцем ресурса. Но формально, кто же эти лица? Нет полной и конкретной информации о владельце ресурса, а значит уже предмет для штрафа. Догадок о том, что это Ю. Алексеев не достаточно.

2) Устав - по факту и есть тот самый дистанционный договор. Там куча всего на тему, что обязан делать член клуба, но по факту нет никаких обязательств со стороны самого клуба по отношению к каждому его члену. Особенно необходимо оговаривать обязанности по личной информации пользователей (имена, фамилии, описания, даты рождения и пр., включая и сами комментарии членов клуба). Нужно описать те  личные данные, которые есть на портале, а также описать зачем (цель) и как (методы) они обрабатываются. Этого нет - повод для штрафа.

3) Далее обязательно придерживаться принципа минимализма, т. е. обрабатывать те данные, которые реально нужны  и по которым четко описаны цели и методы обработки. Наличие "излишеств", тоже повод для разбирательств.

и т.д. и т.п. Вопрос только в том, на сколько GDPR вообще распространяется на такой клюб, как ИМХОклуб - это к юристам, но мне кажется, что распространяется на всё.